[Julian'a-sempai]

Как обнаружить и прибить виря
Для применения советов нужно знать, что установлено на компе (я про программы)

Обнаружение оного
Признаки наличия вирей или троянцев
1. Неоправданно нестого-нессего начинает тормозить машина
2. Невесть куда уходит Интернет трафик
3. Винда ведет себя неадекватно
4. Перестали запускаться проги, которые раньше запускались без проблем
5. Перестали корректно работать устройства, которые раньше работали без проблем

Но тат надо быть осторожнее
По первому пункту
Машина может начать тормозить также после установки программ и антивирусов (к примеру, не удивляйтесь, если после установки Visual Studio 2005 комп начнет тормозить, или после установки новых стилей венды или офиса или офиса)

По второму пункту
Трафик может уходить на обновления программ и венды в фоновом режиме

По третьему пункту
Причиной может как пункты 1 так и 5

По четвертому пункту
Тут может быть конфликт программ: к примеру, если у вас не загружается рабочий стол, а вы перед этим поставили KAV (касперыча) и потом NOD 32 то это не вирусы, а антивирусы цапонулси между собой (решение вход в безопасном режиме и вынос одного из них из автозагрузки)

По пятому пункту
Веселая весчь этот пункт: поскоку устройства могут неробить не только по при чине виря но и конфликта оборудования, к примеру, раньше очень любили конфликтовать между собой сканеры и принтеры от разных производителей

Способ лечения если вы уверены что это все-таки вирь
1. жмем ALT+CTRL+DEL и смотрим наличие левых процессов (на вкладке процессы) (эффективно, но не всегда) ели, что левое нашли, то выносим, если нет, то к пункту 2 в любом случае переходим
перезагружаемся и в начале загрузки нажимаем и удерживаем F8, далее выбираем “Безопасный режим” загружаемся и переходим к пункту 2
2. писк -> выполнить -> вводим MSconfig->далее переходим, а вкладку службы и упорядочиваем их по производителю далее ищем те из них в производителе которых стоит “Нет данных” и отрубаем троянцев оттуда если они там есть (!!Отрубать все подряд не самая лутьшая идея можно слить к примру антивирус или есче что нить нужное!!)

3. переходим на вкладку автозагрузка и отрубаем все что ненужно (к примеру, если там есть svchost.exe то это троян полюбому)

Далее перезагрузка
4. если все сделали, то идем искать файлы вирей: для ЭТОГО МОТРИМ НА МЕНЮ КОМАНДА. там отображен путь а фалу идем по этому пути и удаляем его (!!!Если вы неуверенны что это вирь то его лутьше не килять ТК это может оказаться компонент проги !!) <поэтому я и сказал о том что надо знать что стоит на компе>
Такой способ отлова эффективен при троянцах и вирях, которые не ловят антивирусы
Поправка:: Такой способ лечения лутьше не использовать НЕОПЫТНЫМ И НЕУВЕРРЕННЫМ в своих силах пользователям Поскоку можно сделать только ХУЖЕ им совет использовать:: антивирус и Ad-Aware

[R Max]

С недаывнего времени встречается вирус, который не дает установить Касперыча, а другие антивирусы нормально. Плюс ко всему не грузит безопасный режим хоть ты лопни. Самое лёгкое что я делал, это подключал винт к другой машине, но может есть нормальный способ. И ещё в процессах сидит хрен, знаю, что от вируса, убиваю процесс, нахожу файл, что его запускает, удаляю, но при запуске установки Каспера, тварь возникает снова.

[Julian'a-sempai]

1 Этот метод не ПАНАЦЕЯ
2 если хочеш чтоб помог опиши ситуацию подробнее
3 есть вири которые каспера из автозагрузки выносят и что теперь ?

[R Max]

Подробно не смогу, названия процессов и файлов уже не помню. Понимаю, что лечение с другого компа не спасает иногда, но с этим случаем справилось. Опишу, что было ещё: при запуске Каспера, включал Диспетчера задач, там появляется програмка kill, которая ведёт к процессу svchost. Каспер тут же отрубается. Я загрузил Process Explorer, отключил svchostы, что были позволены, вобще отключил всё, что можно. Но не спасло. В msconfig я отключил все программы и службы, что не являются обязательными, поотрубал службы, связанные с сетью и интернетом. Ничего. Больше вспомнить нечего, но вылечил я всё таки так, после одной из перезагрузок, я на скорость успел указать программе установки файл с ключом Каспера, до того как видимо успел загрузиться вирус, после перезагрузки антивирус начал хрюкать наконец. Если встречу снова такой, попробую описать подробно, надо же учиться делать всё по умному.

[Julian'a-sempai]

интересненькая ТВАРЬ у мя подобная была тож но респект Leonhart-heika - помог его в Бобруйск на веники слить (как 100 постов наберу обязательно за это ема +1 поставлю к Кавайности)

к сожалению я люблю этих гадов припорировать но с этим неуспел его раньше заблочило и удалило а жаль

[Leonhart-sama]

К сожалению описаный здесь способ подходит лишь для простейших вирусов, с которыми способен справиться даже любой более менее современный антивирь, просто надо иногда запускать сканирование диска, а не просто держать его включенным.

Как правило антивири не видят вирусы, которые для свой активности используют вполне легальные программы, например IE или explorer. Как правило эти вирусы на самом деле скрываются в библиотеках dll. Либо экзешники маскирующиеся под системные процессы.

Такие вири как правило искать надо в реестре, вы можете их убивать через Диспетчер, но они запустятся снова. ТАк что прежде чем и удалить файл нужно ещё и зачистить реестр. Для этого заходим реестр (Пуск - выполнить - regedit) и включаем поиск по файлу подозреваемом в вирусе, у даляем все найденные строчки с этим файлом, после чего убиваем файл в процессах и удаляем сам файл, после чего перегружаем машину. Если файл не хочет удаляться - говорит что занят процессом, то стоит перезагрузиться в безопасном режиме и удалить файл в безопасном режиме.

Для поиска вирус если их не находят обычные антиви, советую использовать бесплатную утилиту AVZ.

По поводу поиска вирусов в автозагрузке. В msconfig вы не видите всех запускающихся программ, чтобы их увидеть, вам опять таки лучше воспользоваться утилитой AVZ -> Сервис - Менеджер Автозапуска, там вы увидите вообще всё, кроме того, там есть подсветка текста, если программа хорошая, то она выделена зеленым текстом, если подозреваема в вирусе, то красным, если неизвестная то черным, что очень удобно.

[Julian'a-sempai]

Я же сказал что не ПАНАЦЕЯ но есть вири а точнее троянцы которых антивирус не видит такчто такой способ для не профи гораздо безопаснее
меньше бед натворить можно через msconfig а вот через regedit можно и винду угробить в 1 клик (я перувеличил но всеже это примерно так)

к тому же вирей с маскировкой не так уж и много (но фразу мало я не говорил) обычно переведенного мной алгоритма достаточно хотя не всегда конечно

[Leonhart-sama]

В последнее время ко мне довольно часто стали приносить компы на личение от вирусов, в большенстве своем домашних. В связи с чем у меня выробатался более менее стандартный способ их лечения, который я вам и опишу ниже.

Для процедур лечения на потребуются следующие программы и утилиты: CureIt , AVZ , HijackThis и на всякий пожарный Total Commander (или любой другой файловый менеджер, отличный от проводника Windows).

Первым делом запускаем наш препарируемый компьютер в безопасном режиме (сие нужно для большей эффективности). После запуска запускаем CureIt в появившемся окошочке жмем Пуск, потом Ок, после первичной проверки выбираем Полную проверку и жмем пуск (зеленая стрелочка).На вопрос удалять инфицированые файлы или нет, выбираем "Да, для всех".

Теперь запускаем комп в нормальном режиме и запускаем утилиту AVZ. Ставим в открывшемся окне галочку Выполнять лечение, на вкладке Параметры поиска ставим Высокий уровень эвристики и галки напротив Автоматически исправлять ошибки в SPI/LSP, Поиск портов TCP/UDP троянских программ, Автоматически исправлять системные ошибки (хочу сразу обрать внимание, что при установленой этой галке, утилита настроит вашу систему с учетом рекомендуемо безопасности, то бишь отключит все автозапуски с дисков и отключит некоторые системные службы). Теперь ставим галки напротив дисков и папок, которые хотим проверить и жмем Пуск.
По окончании пролистаем лог листик на предмет красных строк, в которых присутствуют названия файлов о которых вы не знаете и которые не были удалены утилитой. Дабы убедиться что это вирус а не что то идем в поиск virusinfo VirusInfo - Search Forums и ищем там по имени по имени подозреваемого файла. Если вы получили какой то результат, то это возможно дейтсвительно вирус, а не какая то полезная программка, как правило в найденых темах сразу же пишется решения данных проблем. Чаще всего это скрипт для утилиты AVZ. Чтобы его выполнить, копируем его в AVZ - Файл - Выполнить скрипт и жмемп кнопу запустить, после чего компьютер скорее всего перезапустится.
Также к выше перечисленому там может быть написаны строчки для HijackThis. в таком случае запускаем HijackThis, жмем Do a system scan only и в появившемся списке ставим галки напротив указаных на virusinfo строчек, после чего жмем Fix. Усе готово.

Замечания: Если после запуска в Безопасном режиме у вас не появился рабочий стол, то жмем ctrl+alt+Del(Диспетчер задач) - Файл - Новая задача (Выполнить) - пишем "explorer" (без ковычек) и Enter. В особо тяжелых случаях, рабочий стол может и не появиться или постоянно то появляться то исчезать. В таких случаях лучше будет воспользоваться сторонним файловым менеджером или запускать все черех новая задача (Выполнить), то бишь прописывая ручками полные пути до запускаемых утилит, например: c:\tools\HijackThis.exe
Замечания 2: Если у вас не запускаются экзешники вообще, то смените расширение у них с ехе на com.
Замечания 3: Если у вас запускаются экзешники вообще, но не дает запускать утилиты и антивирусники, то просто переименуйте их например: avz.exe в hack.com.
Замечания 4: Для исправления проблем описаных в замечаниях выше, запустите утилиту AVZ - Файл - Восстановление системы и ставим галки напротив нужных вам пунктов.

[Julian'a-sempai]

а это тож она

5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\Windows\system32\myjkdbsf.dll --> Подозрение на Keylogger или троянскую DLL
C:\Windows\system32\myjkdbsf.dll>>> Поведенческий анализ
1. Реагирует на события: клавиатура, мышь, все события
C:\Windows\system32\myjkdbsf.dll>>> Нейросеть: файл с вероятностью 1.04% похож на типовой перехватчик событий клавиатуры/мыши
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков

причем нечего небыло установлено, просто эта дрянь изнеткуда взялась

[Leonhart-sama]

Цитата (InFox\ @ Вчера в 22:41)

на комп опвадился хакер лазать

Это не хаккер, а обычный вирь. Если бы придерживалась FAQ по безопасности WinXP/Win2K своими руками, то с подобной проблемой не столкнулась бы.

[Julian'a-sempai]

Цитата (InFox\ @ Вчера в 22:41)

на комп опвадился хакер лазать и типа заставляет куптитьтупа антивиря, правда это не антивирь а утка, но это другой разговор
в общем он в автозагрузку прописывает торянца который сее делает, и AVZ странно ругается
правда этот лог был послк выноса троянца при повторном сканировании

Протокол антивирусной утилиты AVZ версии 4.30
Сканирование запущено в 15.10.2008 22:29:57
Загружена база: сигнатуры - 191897, нейропрофили - 2, микропрограммы лечения - 56, база от 15.10.2008 22:09
Загружены микропрограммы эвристики: 370
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 73460
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: включено
Версия Windows: 6.0.6001, Service Pack 1 ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=137B00)
Ядро ntkrnlpa.exe обнаружено в памяти по адресу 81C0E000
SDT = 81D45B00
KiST = 81CC6970 (391)
Проверено функций: 391, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
>>> Опасно - подозрение на подмену адреса ЦП[1].IDT[06] = [9AFBE16D] C:\Windows\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
>>> Опасно - подозрение на подмену адреса ЦП[1].IDT[0E] = [9AFBDFC2] C:\Windows\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
Анализ для процессора 2
>>> Опасно - подозрение на подмену адреса ЦП[2].IDT[06] = [9AFBE16D] C:\Windows\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
>>> Опасно - подозрение на подмену адреса ЦП[2].IDT[0E] = [9AFBDFC2] C:\Windows\system32\drivers\Haspnt.sys, драйвер опознан как безопасный
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
Драйвер успешно загружен
1.5 Проверка обработчиков IRP
Проверка завершена
2. Проверка памяти
Количество найденных процессов: 42
Количество загруженных модулей: 427
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба TermService (@%SystemRoot%\System32\termsrv.dll,-268)
>> Службы: разрешена потенциально опасная служба SSDPSRV (@%systemroot%\system32\ssdpsrv.dll,-100)
>> Службы: разрешена потенциально опасная служба Schedule (@%SystemRoot%\system32\schedsvc.dll,-100)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Проверка завершена
9. Мастер поиска и устранения проблем
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
Проверка завершена
Просканировано файлов: 469, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 15.10.2008 22:30:58
Сканирование длилось 00:01:04
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - VirusInfo

Цитата (Legion Leonhart\ @ Сегодня в 07:58)

Наврятли это троян, это может любой драйвер слежения за клавиатурой, будь то Punto или драйвера от клавиатру (если ставили свои), это может быть программулька которая отвечает за дополнительные кнопы на ноуте и т.д.
И вообще с такими вопросами не сюда, а сюда Поиск и лечение вирусов

продолжи
значит ты думаешь что то не вирь
лана симптомы такие
перед появлением этой хрени вылетает эксплорер
далее - эта прога вендряется во все процессы (унлокером проверял)
далее создается файл в систем 32 с рендомным именем

[Leonhart-sama]

У тебя явно какие то проблемы с системой, но этот файл здесь врятли виноват. Скорее всего ты нахимичила с настройками системы или наставила кучу левого софта. Советую проделать следующую процедуру:
1 - пихаешь в сидюк диск с виндами
2 - Пуск - Выполнить - пишешь команды "sfc /scannow" и жмешь ентер
3 - ждешь когда все закончится, после этого перегружаешься и проверяешь на свои глюки

[Elain-dono]

ОГРОМНОЕ СПАСИБО InFox за прогу!!!
(она знает, за какую )

Но... как ж**ой чувствовал, что что-то не так. Какие бу предложения? (желательно от заразы избавиться, ничего не потерять и лишнего гемороя не приобрести...)

Присоединённые изображения

[Leonhart-sama]

Читай сообщение немного выше Поиск и лечение вирусов (сообщение #112616), так что читай и делай по инструкции. На будущее, если не хотите гемороя с вирусами на компе, дойдите до магазина и купите лицензионного касперского и будет вам счастья, все остальные антивирусы (чистое ИМХО, но грамотные люди к нему прислушаются) полное Г, за которое с вас просят деньги, но которое работает немногим лучше бесплатных антивирусов.

[Julian'a-sempai]

Цитата (Legion Leonhart @ Сегодня в 04:00)

дойдите до магазина и купите лицензионного касперского и будет вам счастья,

он сождет 100% ресурсов системы и вирям просто некуда будеть загрузиться